生成AIの利用で情報漏洩を防ぐ最も確実な方法は、「使用禁止」ではありません。入力してよい情報の線引きを決めて、明文化することです。禁止しても現場は個人アカウントで使い続け、会社が把握できない状態になるだけだからです。この記事では、中小企業で起きやすい漏洩パターンと、社内ルールに必ず入れる6項目を、A4・1枚で作れる形にまとめます。
結論：禁止ではなく「入力してよい情報の線引き」を決める
生成AIの情報漏洩対策で最初にやるべきことは、入力してよい情報と、してはいけない情報を分けて書き出すことです。ツールの選定でも、監視システムの導入でもありません。
理由は単純で、漏洩の大半は攻撃ではなく善意の入力ミスから起きるからです。担当者は悪意なく、業務を早く終わらせるために顧客名簿を貼り付けます。線引きを知らなければ、それが問題だと気づけません。
商工中金の調査（2026年1月、有効回答3,892社）でも、生成AIを導入しない理由として「社内ルールの整備が追いつかない」が25.1%、「セキュリティに不安がある」が21.0%を占めています。ルールがないこと自体が、活用を止める要因になっています。
中小企業で起きやすい3つの漏洩パターン
パターン1：個人アカウントでの業務利用（シャドーIT）
会社が導入していないため、社員が自分のアカウントで業務データを入力しているケースです。会社側は何が入力されたかを把握できず、退職時にデータの所在も追えません。前掲の調査では、64.9%の企業が「会社としての導入はなく、個人の判断に任せている」と回答しています。最も件数が多く、最も見えにくいリスクです。
パターン2：資料の丸ごと貼り付け
議事録や見積書を要約させるとき、ファイルの中身をそのまま貼り付ける行為です。要約に不要な取引条件や個人名まで一緒に送信されます。必要な部分だけを渡す習慣がないと、常に過剰な情報を出し続けることになります。
パターン3：出力のノーチェック転用
生成された文章をそのまま顧客に送る、公開する、という使い方です。これは直接の漏洩ではありませんが、事実と異なる内容や不適切な表現をそのまま外部に出すことになり、結果として信用を損ないます。出力の確認者を決めておく必要があります。
社内ルールに必ず入れる6項目
細かい規程より、現場が覚えられる分量であることが重要です。次の6項目を押さえれば、A4・1枚に収まります。
| 項目 | 決めること | 書き方の例 |
|---|---|---|
| 1. 使ってよいツール | 会社が認めたサービスとプランを限定する | 会社が契約した法人向けプランのみ使用可 |
| 2. 入力してよい情報 | 公開情報・社内一般情報など、OKの範囲を明示 | 公開済みの製品情報、社外秘でない社内文書 |
| 3. 入力してはいけない情報 | 禁止対象を具体的に列挙する | 顧客の氏名・連絡先、取引金額、未公開の計画、パスワード |
| 4. 出力の扱い | 確認者と、そのまま使ってよい範囲 | 社外に出す文書は必ず担当者が事実確認する |
| 5. 記録の残し方 | どの業務でどう使ったかの記録方法 | 対象業務と使用ツールを月次で報告する |
| 6. 相談窓口 | 迷ったときの確認先 | 判断に迷う場合は入力前に管理部門へ確認する |
ポイントは3番を「機密情報は禁止」で終わらせないことです。何が機密かの判断は人によって違います。「顧客の氏名」「見積金額」のように、具体名で列挙してください。
無料プランと法人向けプランで確認すべき3点
サービスやプランによって、入力内容の扱いは異なります。名前だけで判断せず、契約前に次の3点を利用規約とプラン説明で確認してください。
- 入力内容がモデルの学習に使われるか：学習に使わない設定や、法人向けプランでの取り扱いがどうなっているかを確認します
- データの保存期間と保存場所：どこにどれだけ保存されるか。国内保存が必要な情報を扱う場合は特に重要です
- 管理機能の有無：アカウントの一括管理、退職者のアカウント停止、利用状況の確認ができるか
仕様は更新されることがあるため、導入時に確認した内容を日付つきで記録に残しておくことをおすすめします。後から社内で説明する際の根拠になります。
ルールを「守らせる」ための3つの仕組み
文書を配っただけでは守られません。運用に乗せるには次の3つが必要です。
仕組み1：入力前に見える場所に置く
共有フォルダの奥ではなく、AIを使う画面の近く（ブックマーク、デスクの掲示、業務手順書の冒頭）に置きます。判断が必要になるのは入力する瞬間なので、その場で確認できることが重要です。
仕組み2：会社としてアカウントを配る
個人アカウントでの利用を減らす最も効果的な方法は、会社が正式なアカウントを用意することです。禁止だけでは、見えないところで使われる状態が続きます。使える環境を用意したうえで、その中でのルールを示すほうが機能します。
仕組み3：迷ったら聞ける窓口を1つ決める
「これは入力していいのか」と迷ったとき、聞く先がなければ現場は自己判断します。担当者を1名決め、判断した内容を追記していけば、ルールは実務に合った形で育っていきます。
情報漏洩以外に押さえておきたい3つのリスク
| リスク | 起きること | 対策 |
|---|---|---|
| 誤情報（ハルシネーション） | 事実と異なる内容がもっともらしく出力される | 数値・固有名詞・法令は必ず一次情報で確認する |
| 著作権・権利侵害 | 他者の表現に近い内容を、気づかず使ってしまう | 社外公開物は担当者が確認する。画像は利用条件を確認する |
| 過信・思考の停止 | 出力をそのまま正解として扱う | 判断を伴う業務では、AIは下書きまでと決める |
この3つは、ルールで防ぐというより使い方の前提として共有しておくべき内容です。特に誤情報は、社外文書で発覚すると信用に直結します。
A4・1枚でつくるルールの構成例
実際に配布する文書は、次の構成にすると1枚に収まります。作成は1〜2時間程度で十分です。
- 目的（2行）：安全に使うために線引きを定める、と書く
- 対象者・対象ツール（2行）：誰が、どのサービスで使えるか
- 入力してよい情報 / いけない情報（各5項目程度）：具体名で列挙する
- 出力の扱い（3行）：社外に出す場合の確認手順
- 困ったときの窓口（1行）：担当者名と連絡先
- 改定日（1行）：見直しは半年に1回を目安に
ルールを整えたあとは、実際に業務で使われる状態にする段階に進みます。進め方は生成AIが社内で使われない5つの原因と定着させる方法で解説しています。あわせて、そもそもどの業務から始めるかは【2026年】AIの業務効率化、何から行う？失敗しない導入5ステップが参考になります。
万一、入力してしまった場合の対応手順
ルールを作っても、入力ミスは起こり得ます。重要なのは、起きたときに速やかに報告される状態にしておくことです。叱責が前提の運用にすると、隠されて発見が遅れます。
社内ルールに、次の対応手順を1項目として書いておいてください。
- まず報告する：入力してしまった内容と、使用したサービス名・日時を管理部門へ伝える
- 会話履歴を確認・削除する：削除方法はサービスによって異なるため、事前に手順を調べておく
- 影響範囲を特定する：どの情報が、誰に関するものかを整理する
- 取引先・本人への連絡要否を判断する：契約上の通知義務がある場合がある
- 再発防止策を1行足す：同じ状況が起きない工夫をルールに追記する
個人情報が含まれる場合、法令上の対応が必要になることがあります。判断に迷う場合は、弁護士や個人情報保護に詳しい専門家に確認してください。この記事は社内ルールづくりの整理であり、法的判断の根拠にはなりません。
報告しやすくする3つの工夫
- 報告先を1つに決める：誰に言えばよいか迷わせない
- 「報告した人を責めない」と明文化する：ルールに1行入れるだけで心理的な壁が下がる
- 報告のあった事例を共有する：個人名を伏せて、こういう場面で起きたと全社に伝える
3つ目は、最も効果のある教育です。抽象的な注意喚起より、実際に自社で起きかけた事例のほうが、現場の記憶に残ります。
よくある質問
Q1. 生成AIの利用を全面禁止するのは有効ですか？
おすすめしません。禁止しても個人アカウントでの利用は止まらず、会社が状況を把握できない状態になります。使える環境を用意したうえで線引きを示すほうが、結果として漏洩リスクは下がります。
Q2. 顧客情報は絶対に入力してはいけませんか？
原則として入力しない方針が安全です。どうしても必要な場合は、氏名や連絡先を伏せ字や記号に置き換えてから渡す運用にしてください。個人情報の取り扱いは法令や委託先との契約にも関わるため、判断に迷う場合は専門家への確認をおすすめします。
Q3. ルールはどのくらいの頻度で見直すべきですか？
半年に1回を目安にしてください。サービスの仕様やプランの内容が変わることがあるためです。加えて、新しいツールを導入したときは、その都度2項目（使ってよいツール・入力してよい情報）を更新します。
Q4. 社内に情報管理の担当者がいません。どうすればよいですか？
専任者は不要です。管理部門または経営者の1名を窓口に決め、判断した内容を追記していく形で始められます。まずは6項目を書き出すところからで十分に効果があります。
まとめ：ルールは活用を止めるためではなく、進めるために作る
生成AIの情報漏洩対策は、入力してよい情報の線引きを明文化することから始まります。起きやすいのは個人アカウントでの利用、資料の丸ごと貼り付け、出力のノーチェック転用の3つ。ルールは6項目・A4・1枚で十分です。
線引きが決まると、現場は迷わずに使えるようになります。ルールづくりは、活用を止めるためではなく進めるための作業です。判断に必要な範囲の切り分けは、AIツールは既製と自社開発どちらを選ぶ？判断基準と費用の考え方もあわせてご覧ください。
スゴヨクAIでは、ルールづくりから業務への実装、運用の定着まで伴走して支援しています。DX伴走支援やAI業務効率化の支援内容もご覧ください。「自社のルールはこれで足りているか」といったご相談も歓迎です。お問い合わせはこちらから、お気軽にご連絡ください。休業日以外は24時間以内にご返信します。
